تشخیص نفوذ در شبکه‌های کامپیوتری (تحقیقاتی) | قسمت دوم

ماشین های بردار پشتیبان

ماشین های بردار پشتیبان خصیصه های ورودی با مقادیر حقیقی را با نگاشت غیرخطی به فضایی با ابعاد بالاتر می برد و با قرار دادن یک مرز خطی، داده ها را جدا می کند. پیدا کردن یک مرز تفکیک برای جدا سازی داده ها به مسئله بهینه سازی درجه دوم تبدیل می شود و از مرز خطی برای تقسیم بندی استفاده می شود. اما همه مسائل به از ویژگی به نام توابع پایه SVM صورت خطی قابل تفکیک نیستند و برای حل این مشکل استفاده می کند. این توابع الگوریتم های خطی را به غیرخطی تبدیل می کند و با بردن داده ها به فضایی با ابعاد بالاتر، تفکیک خطی را در آن فضا ممکن می سازند [۷].
این الگوریتم شامل مراحلی با عملیات های ریاضی است لذا با توضیحات ارائه شده شاید کمی گنگ به نظر بیاید. اما نگران نباشید در بخش آزمایش ها به جزئیات پیاده سازی و انجام مرحله به مرحله آن خواهیم پرداخت و عملیات آن را به صورت کامل و با مثال توضیح خواهیم داد.

 

درخت تصمیم

“درخت تصمیم یکی از روش های دسته بندی در حوزه داده کاوی است. در این بخش الگوریتمی ارائه می شود که با ساختن یک درخت تصمیم روی مجموعه ای از الگوها یا امضاهای شناخته شده از حملات، تعداد مقایسه های لازم برای شناسایی یک فعالیت مخرب را به نحو چشمگیری کاهش دهد [۷] اگر ما یک الگوی نفوذ را در پایگاه داده های خود ذخیره کرده باشیم ، مجموعه خصوصیات این الگو می تواند معیاری برای بررسی سایر فعالیت ها باشد. حالا اگر داده های ورودی را بررسی کنیم و آن را با قانون های موجود و خصوصیات که در پایگاه داده موجود است مقایسه کنیم و این داده های ورودی با تمام آن خصوصیات مطابقت داشته باشند داده ورودی با الگوی متناظر با قانون منطبق است. مجموعه این خصوصیات گره ریشه درخت را تشکیل می دهند. حال اگر یک ویژگی را انتخاب کرده و مقدار آن را در قانونی تعیین کنیم می توان زیر مجموعه های مختلفی از قوانین تشکیل داد که گره های دیگر درخت را تشکیل می دهند.
مسئله اصلی در ساخت درخت تصمیم، انتخاب ویژگی یا صفتی است که به نحو مناسب داده ها را در کلاسهای مربوطه دسته بندی نماید. هر درخت تصمیم شامل نود، یال و برگ است. نودهای درخت معادل صفاتی است عملیات دسته بندی داده را بر اساس مقادیر آن صفات انجام می دهیم. یال ها با مقادیری که هر صفت برای یک زیرمجموعه خاص از داده ها دارد برچسب می خورد و برگ ها معادل.کلاسی است که بخشی از داده ها در آن قرار می گیرند [۷] .
درختهای تصمیم روشی برای نمایش یک سری از قوانین هستند که منتهی به یک رده یا مقدار میشوند.درختهای تصمیمی که برای پیش بینی متغیرهای دسته ای استفاده میشوند، درختهای classification نامیده میشوند زیرا نمونه ها را در دسته ها یا رده ها قرار میدهند. درختهای تصمیمی که برای پیش بینی متغیرهای یپیوسته استفاده میشوند درختهای regression نامیده میشوند[۸] .

از دیگر مزایای درخت تصمیم عبارتند از [۹] :

· درخت تصمیم از نواحی تصمیم گیری ساده استفاده میکند.

· مقایسه های غیر ضروری در این ساختار حذف میشوند.

· آمادهسازی دادهها برای یک درخت تصمیم ساده یا غیر ضروری است.

·  درختهای تصمیم قادر به شناسایی تفاوتهای زیرگروه ها میباشد.

با توجه به این که روش های معمول موجود برای تشخیص نفوذ در فاز قبل توضیح داده شد ، در این فاز و فاز بعد می خواهیم پرکاربردترین و بهترین این روش ها را با جزئیات بیشتری توضیح داده و تا حد ممکن با یکدیگر مقایسه کنیم.
در فاز ۲ درخت تصمیم و ماشین بردار پشتیبان را ابتدا هر کدام به صورت انفرادی و همراه با نتایج بررسی کرده ،سپس با ارائه نتایج چند آزمایش انجام شده نتایج استفاده از این ۲ را در سیستم های تشخیص نفوذ مقایسه می کنیم و در نهایت کارهای مرتبطی که در آن ها از این ۲ به صورت ترکیبی استفاده شده را بررسی می کنیم. ضمن این که در این فاز به مفهوم کاهش ویژگی که در تشخیص نفوذ بسیار اهمیت دارد نیز می پردازیم.
در فاز ۳ (اگر عمری بود و باز هم به لطف دوستان نمره صفر نگرفتیم!!) به بررسی شبکه عصبی ، الگوریتم ژنتیک و روش بیز و مقایسه ی کلی این چند روش با هم می پردازیم. امیدوارم در پایان این ۳ فاز و با بررسی روش های ذکر شده که تقریبا شامل تمامی روش های کاربردی و معروف تشخیص نفوذ می شوند تا حد خوبی بررسی شده باشند.

نکته ی دیگر این که تقریبا سعی شد تمام رابطه و فرمول هایی که در مقاله ها گفته شده در این متن آورده شود اما تعداد بسیار کمی آورده نشده که به ۲ دلیل بوده است. اول این که احساس می شد این روابط ربطی به موضوعات الگوریتمی و موضوع کلی بحث ندارد و صرفا محاسباتی برای پیدا کردن مقدار برخی متغیرهاست و دوم این که خود بنده (نویسنده) با وجود تلاش زیاد نتوانستم آن را به طور کامل درک کنم و طبیعتا از استفاده ی این فرمول ها که تعدادشان بسیار کم (در حد ۳ یا ۴) بود در متن این پروژه خودداری کردم.

درخت تصمیم:

درخت تصمیم به عنوان یک “مدل پیش بینی کننده بر اساس یادگیری ماشین و آمارها به منظور ایجاد یک ساختار درختی برای مدل کردن الگوهای داده ای” معرفی می شود. در واقع درخت های تصمیم مثال بارزی از الگوریتم کلاس بندی داده ها هستند. کلاس بندی روشی است که در آن هر کدام از داده ها به یکی از الگوهای تعیین شده نسبت داده می شوند[۱۰].
مثلا درخت تصمیم در حوزه ی تشخیص نفوذ می تواند داده های شبکه را به کلاس های مخرب ، و یا هر مدل دلخواه دیگری تقسیم بندی کند.
در واقع الگوریتم کلاس بندی مقدمه ای برای ساخت درخت است، به این ترتیب که با پیدا کردن الگوهای خاص در مجموعه ی داده ها درخت ها را ایجاد می کند. در شکل زیر مثالی از کلاس بندی و ایجاد یک خروجی به صورت درخت مشاهده می شود.

 کلاس بندی و ایجاد یک خروجی به صورت درخت

 

آن چه که در شکل به عنوان ورودی مشاهده می کنید مشخصات داده ها هستند که این مشخصات عامل دسته بندی داده ها می باشند. مشخصات داده ها می توانند گسسته یا پیوسته باشند و برای نگهداری آن ها می توان مانند تصویر بالا از جداول و یا پایگاه داده ها و یا هر گونه فایل قابل قسمت بندی استفاده کرد.

به طور کلی ساختن یک درخت کاملا بهینه نشدنی است چرا که با افزایش خصوصیاتی در داده ها که برای ما مهم باشند تعداد حالات تولید درخت ها به صورت نمایی افزایش پیدا می کند. به همین خاطر انواع مختلفی از درخت ها وجود دارد که در جدول زیر ۳ کلاس بندی کننده مختلف از درخت های تصمیم را با خصوصیات آن ها مشاهده می کنید

درخت تصمیم

 

کته ای که در مورد مقایسه ی این درخت ها وجود دارد این است که نمی توان به طور مطلق یکی را برتر از دیگران دانست. در واقع در شرایط مختلف و در مورد مجموعه ی داده های مختلف درخت های متفاوتی می توانند بهترین نتایج را ارائه دهند.
کلاس بندی های که درخت های تصمیم انجام می دهند می توانند یک گروه را برای این که کدام الگوها را نگه داری کنند ، کدام روش های دیوار آتش را پیاده سازی کنند و یا کدام فعالیت ها را در شبکه برای آنالیز کردن نشانه گذاری کنند کمک می کنند اما مانند دیوار آتش یا سیستم های جلوگیری از نفوذ (IPS) نمی توانند به تنهایی نمی توانند عملیاتی برای مقابله با نفوذ انجام دهند.

حالا می خواهیم اجزای درخت های تصمیم را با جزئیات بیشتری بررسی کنیم :

یک درخت تصمیم از ۳ بخش اصلی تشکیل شده است :

۱- گره تصمیم ۱ که نمایانگر یک صفت یا خصوصیت قابل تست است.

۲- یال که بیانگر مقدار یک صفت یا به طور واضح تر خروجی تست آن صفت است.

۳- برگ که همان گره پاسخ نامیده شده و بیانگر کلاسی است که شیء به آن تعلق دارد.

الگوریتم های مختلفی برای تولید درخت تصمیم معرفی شدند که در جدول بالا ۳ نمونه به طور اختصاری بررسی شدند. اما برای انتخاب روش مناسب برای ساخت یک درخت تصمیم پارامترهای مختلفی وجود دارد :

۱- معیار انتخاب صفت مناسب :
همان طور که گفته شد گره تصمیم بیانگر یک صفت است. این که کدام صفت را برای قرار گرفتن در گره ریشه ی درخت یا زیر درخت قرار دهیم نیاز به تعیین یک معیار مناسب برای مشخص شدن توان هر گره برای انتخاب شدن دارد.
معیارهای مختلفی برای این کار وجود دارد که ما به توضیح آن چه برای درخت C4.5 تعیین شده است می پردازیم. این معیار gain ratio نام دارد. ورودی های این تابع یک صفت به نام A و یک مجموعه از اشیاء با نام T است. این تابع به این صورت تعریف می شود :

معیار انتخاب صفت مناسب

که در آن Ci تعداد اشیاء موجود در T است که به Ci تعلق دارد. و

تعداد اشیاء موجود در T

زیر مجموعه ای از اشیاء است که در آن مشخصه ی Ak دارای مقدار ak است. و سپس مقدار مشخصات مشخصه ی Ak از رابطه ی زیر به دست می آید :

مقدار مشخصات مشخصه ی Ak

و در نهایت Gain Ratio با این رابطه و با درجه بندی شدن توسط رابطه ی بالا این گونه نوشته می شود :

همین مورد در درخت ID3 این گونه بیان می شود :
اغلب الگوریتم های یادگیری درخت تصمیم بر پایه یک عمل جستجوی حریصانه بالا به پائین در فضای درختهای موجود عمل میکنند. در درخت تصمیم (ID3) از یک مقدار آماری به نام بهره اطلاعات Information Gain استفاده می شود تا اینکه مشخص کنیم که یک ویژگی تا چه مقدار قادر است مثالهای آموزشی را بر حسب دسته بندی آنها جدا کند [۹]. آنتروپی: [۹] میزان خلوص (بی نظمی یا عدم خالص بودن) مجموعه ای از مثالها را مشخص می کند. اگر مجموعه S شامل مثالهای مثبت و منفی از یک مفهوم هدف باشد آنتروپی S نسبت به این دسته بندی بولی بصورت زیر تعریف می شود :

بهره اطلاعات [۹] (Information Gain) بهره اطلاعات یک ویژگی عبارت است از مقدار کاهش آنتروپی که بواسطه جداسازی مثالها از طریق این ویژگی حاصل میشود. بعبارت دیگر بهره اطلاعات (Gain(S,A برای یک ویژگی نظیر A نسبت به مجموعه مثالهای S بصورت زیر تعریف میشود:

که در آن (Values A) مجموعه همه مقدار ویژگی های A بوده و VS زیرمجموعه ای از S است که برای آن A دارای مقدار V است. در تعریف فوق عبارت اول مقدار آنتروپی داده ها و عبارت دوم مقدار آنتروپی مورد انتظار بعد از جداسازی داده هاست

۲- استراتژی تقسیم بندی :
روشی که در آن اعضای مجموعه ای که در مورد ۱ ذکر شد را به کلاس صفت مناسب نسبت دهد.

۳- محدوده ی توقف :
این مورد تعیین کننده ی شرایطی است که با به وجود آمدن آن ادامه ی گسترش یک زیر درخت (و یا کل درخت) متوقف شود و در واقع زمان توقف ادامه ی تقسیم بندی مجموعه را بیان می کند. در واقع عملیات مقدار دهی به گره ها و یال ها در یک زیر درخت آنقدر ادامه پیدا می کنید تا همه ی داده ها در آن زیر درخت به یک کلاس تعلق پیدا کنند.

برای اضافه کردن اطلاعات به درخت تصمیم هر داده از ریشه شروع کرده و به گره ها می رود. در هر گره بررسی می شود که این داده به کدام کلاس مربوط است. این عمل آنقدر تکرار می شود تا به یک گره برگ برسیم. در آنجا برگی که این داده به آن تعلق پیدا کند محلی است که باید به آن جا اضافه شود.

ارتباط درخت تصمیم با سیستم های تشخیص نفوذ :
به طور خلاصه اگر بخواهیم فواید درخت تصمیم را برای سیستم های تشخیص نفوذ توضیح دهیم می توانیم فرآیندهای زیر را که به این سیستم ها کمک می کنند نام ببریم [۱۰]:

  • استفاده به همراه روش ظرف عسل (Honey pot) که در آن یادگیری روش و تکنیک های نفوذ گران انجام شده و در شناسایی فعالیت های مخرب در شبکه کمک می کند.

به طور خلاصه تکنیک ذکر شده به این صورت است که به راحتی اجازه ی نفوذ را به نفوذگر می دهد و وی با فرض راحت بودن این کار ردپایی از خود به جا می گذارد که پیدا کردن این ردپا دقیقا همان هدف این تکنیک است.

  • کمک در تست های نفوذ با یاد گرفتن روش ها از تست کننده ها و پیدا کردن روش هایی برای شناخت روش های تست تست کننده ها.
  • شناخت و برجسته کردن ترافیک مخرب و مشکوک در شبکه
  • اولویت بندی کردن هشدارها با مشخص کردن هشدارهای با ارزش و اولویت کمتر.
  • نشانه گذاری روش های نفوذی که مکررا از آن ها استفاده می شود
  • شناسایی رفتارهای غیر عادی در شبکه که در فاز ۱ در مورد آن ها توضیحات و مثال هایی ارائه شد
  • پشتیبانی و کمک به افزایش اطلاعات سیستم تشخیص نفوذ با پیدا کردن روش های تشخیص فعالیت های مخرب

پس از این که درخت تصمیم ساخته شد ، می تواند حجم داده های موجود را کاهش دهد. در واقع داده هایی که به عنوان مخرب شناسایی نشده اند می توانند به خاطر بی خطر بودنشان حذف شوند. این کم کردن حجم اطلاعات یک کارایی بسیار مهم برای درخت تصمیم است.

در واقع کاری که یک درخت تصمیم در یک سیستم امنیتی انجام می دهد مشابه نشانه ی هدف گیری در یک اسلحه است که هدف را به تیرانداز نشان می دهد و سایر اجزا مانند خود سیستم تشخیص و جلوگیری نفوذ و دیوار آتش مانند اجزای شلیک تفنگ عمل می کنند.
هنگامی که روش یک نفوذ پیچیده شده و تعداد متغیرها و خصوصیت ها افزایش پیدا می کند روش های سیستماتیک مثل درخت تصمیم می تواند از این پیچیدگی کاسته و عملیات مخرب را شناسایی کند. یکی از مزیت های مهم درخت تصمیم نسبت به سایر روش ها ایجاد قوانینی کاملا شفاف ، قابل فهم و ساده برای پیاده سازی در سیستم های دارای محدودیت زمانی مثل تشخیص نفوذ و یا دیوار آتش است.

یکی دیگر از بزرگترین قابلیت های درخت تصمیم این است که تشخیص می دهد که روش های برخی از حملات زیرمجموعه ای از روش های دیگری است که در آموزش های قبلی فراگرفته است و این در تشخیص روش بسیاری از نفوذها مناسب است[۱۲].

پیاده سازی درخت تصمیم برای تشخیص نفوذ :

نخستین کاری که باید انجام شود این است که داده ها و ابزارهای موجود که دریافت می کنیم باید پیش پردازش شوند. این پیش پردازش باید داده ها را به فرمی در آورد که درخت تصمیم بتواند از آن ها استفاده کند. در واقع داده های خام و پردازش نشده نمی تواند به عنوان ورودی درخت تصمیم مورد استفاده قرار گیرد!
نتیجه پردازش داده ها برای مرحله بعد که تعیین مجموعه قوانین است بسیار مهم است. در مرحله ی بعد آنالیز روی این داده ها انجام شده و از نتیجه ای آن برای تعیین قوانین تصمیم گیری استفاده می شود. شکل زیر مراحل کار درخت تصمیم را نشان می دهد [۱۰]:

گرد آوری داده ها :

گرد آوری داده ها یکی از زمان بر ترین و مهم ترین کارها برای استفاده از یک روش مانند درخت تصمیم است. روشی که برای گردآوری داده ها انتخاب می شود باید به عملیاتی که تیم تشخیص نفوذ از درخت تصمیم انتظار دارند مربوط باشد. به عنوان مثال اگر درخت تصمیمی قرار است داده های مخرب را از بی خطر تشخیص دهد باید دو مجموعه داده که یکی شامل داده های نمونه ی مخرب و دیگری شامل داده های نمونه ی بی خطر است در اختیار داشته باشد. پیدا کردن و تقسیم بندی چنین داده هایی می تواند بزرگترین دغدغه برای پیاده سازی این تکنیک باشد.
برای جمع آوری داده ها نیز می توان از روش های زیر استفاده کرد [۱۰]:

  • ظرف های عسل که توضیحاتی در مورد آن ها داده شد منبع بسیار خوبی برای جمع آوری داده ها هستند چرا که آن ها با فراهم کردن امکان نفوذ برای نفوذگر باعث به جا ماندن ردپا از او و اطلاعاتش خواهند شد و این اطلاعات و داده ها قطعا برای سیستم ما مفید است.
  • فایل هایی که در آن ها اطلاعات و داده های نفوذ های قبلی ذخیره شده اند نیز منابع بسیار مناسبی هستند.
  • اطلاعاتی که از تست های نفوذ به دست می آید قابل استفاده است. در واقع روش هایی که تست کننده ها برای نفوذ به سیستم استفاده می کنند تا بتوانند قابلیت آن را آزمایش کنند نیز همراه با داده هایی است که می توانیم در سیستم خود از آن ها استفاده کنیم.
  • و در نهایت داده های موجود در سایت ها مانند www.openpacket.org که می توانند داده های مخرب که قبلا آزمایش شده اند را در اختیار شخص قرار دهند.

اکنون به بررسی نتایج آزمایش روی یکی از انواع درخت که j48 است می پردازیم [۸] .
برای این آزمایش از نرم افزار weka استفاده شده است که از ۳ روش اصلی برای انتخاب ویژگی ها استفاده می کند :

الف – روش (Correlation-based Feature Selection (CFS :
نوعی روش کاهش ویژگیهاست که براساس همبستگی ها پایه گذاری شده است.این الگوریتم نمره بالایی به ویژگیهایی می دهد که دارای وابستگی شدیدتر به کلاس و وابستگی ضعیفی با یکدیگر دارند.

ب- (Information Gain) :
در مورد این روش در همین بخش و در قسمت درخت ID3 توضیحات لازم داده شده است.

ج – (Gain Ratio) :
خاصیت آن حساسیت داشتن به این است که یک ویژگی با چه گستردگی و یکنواختی داده ها را جدا میکند.برای اینکار عبارتی
به صورت زیر تعریف میشود:

 

 

حال با استفاده از این فرمول بهره به صورت زیر تعریف می شود :

برای این آزمایش نیز از مجموعه داده KDDCup99 استفاده شده که ۱۰ درصد آن شامل ۴۹۴۰۲۱ رکورد است (در مورد این مجموعه داده در آزمایش های بعدی توضیحات بیشتری ارائه شده است.
در این جا به جای ۵ کلاس معمول موجود در مجموعه داده ها از ۱۱ زیر کلاس مربوط به این ۵ کلاس نام برده شده است. که در جدول های بعدی آن ها را مشاهده خواهید کرد.

برای نرمال سازی داده ها که عبارت است از بردن مقادیر ویژگی ها به محدوده [۰,۱] و همه داده های غیر عددی به عددی تبدیل می شوند از رابطه ی زیر استفاده شده که در آن Fi مقدار ویژگی که قرار است نرمال شود ، (min(F و (max(F بزرگترین و کوچکترین مقادیر ویژگی و FNi ویژگی نرمال شده می باشد :

برای ارزیابی دسته ها از معیارهای استاندارد زیر استفاده شده است :

تی پی ۱۷ : این معیار بیانگر تعداد رکوردهایی است که دسته واقعی آن ها مثبت بوده و الگوریتم دسته بندی دسته آن ها را به درستی تشخیص داده است.
اف پی ۱۸ : این معیار بیانگر تعداد رکوردهایی است که دسته واقعی آن ها منفی بوده و الگوریتم دسته بندی به اشتباه دسته آن ها را مثبت تشخیص داده است.
دقت ۱۹ : مبتنی بر دقت دسته بندی است و مبین آن که چه اندازه می توان به خروجی اعتماد کرد.
فراخوانی ۲۰ : برابر تعداد رکوردهای با برچسب مورد نظر است.

در جدول زیر ، زیر کلاس های حملات را که ۱۱ زیر کلاس مشتق شده از ۵ کلاس اصلی است مشاهده می کنید :

و اما دراین جدول مقدار به دست آمده برای هر یک از معیارهای CfS,Gr,IG را مشاهده می کنید :

مقایسه ی کلاس بندی های درست و غلط درخت تصمیم بر اساس ۳ معیار CFS,GR,IG :

و در نهایت مقایسه TP ها در زیر حملات بر اساس ۳ معیار CFS,GR,IG

اما برای نتیجه گیری همان طور که مشاهده می شود ، دقت به دست آمده از الگوریتم CFS از دو الگوریتم دیگر بیشتر است و این الگوریتم باعث بهبود بیشتری در الگوریتم درخت J48 نسبت به دو الگوریتم دیگر می شود.

 

مشاهده قسمت اول مقاله

ادامه مقاله قسمت سوم

تشخیص نفوذ در شبکه‌های کامپیوتری (تحقیقاتی) | قسمت اول

تشخیص نفوذ در شبکه‌های کامپیوتری | شناسایی حملات در شبکه‌های کامپیوتری از جنبهٔ اطّلاعات مورد استفاده در مرحلهٔ یادگیری، به دو دستهٔ تشخیص نفوذ و تشخیص ناهنجاری تقسیم می شود.

در تشخیص نفوذ، هم از ترافیک معمول و هم از ترافیک حمله استفاده می‌شود. برای انجام این مهم، روش‌های متنوّعی مورد استفاده قرار گرفته‌اند که در این پژوهش باید به اختصار مرور شده و در نهایت یکی از این روش‌ها برای تشخیص حملات مورد استفاده قرار گیرند.

۱٫ مقدمه

 

۱٫۱ نفوذ چیست و چگونه انجام می شود؟

نفوذ۱ به مجموعه ی اقدامات غیرقانونی که صحت و محرمانگی و یا دسترسی به یک منبع را به خطر می اندازد، اطلاق می گردد. نفوذ ها می توانند به دو دسته ی داخلی و خارجی تقسیم شوند. نفوذهای خارجی به آن دسته نفوذهایی گفته می شود که توسط افراد مجاز و یا غیرمجاز از خارج شبکه به درون شبکه ی داخلی صورت می گیرد و نفوذهای داخلی توسط افراد مجاز در سیستم و شبکه ی داخلی، از درون خود شبکه انجام می پذیرد. نفوذگرها عموماً از عیوب نرم افزاری، شکستن کلمات رمز، استراق سمع ترافیک شبکه و نقاط ضعف طراحی در شبکه، سرویس ها و یا کامپیوترهای شبکه برای نفوذ به سیستم ها و شبکه های کامپیوتری بهره می برند[۱] .

 

۱٫۲ سیستم تشخیص نفوذ چیست؟

“یک سیستم تشخیص نفوذ را می توان مجموعه ای از ابزارها،روش ها و مدارکی در نظر گرفت که به شناسایی،تعیین و گزارش فعالیت های غیرمجاز یا تائید نشده تحت شبکه،کمک می کند[۲]. اما در حقیقت سیستم های تشخیص نفوذ به صورت مستقیم نفوذ را تشخیص نمی دهند. در واقع این سیستم ها با بررسی فعالیت های در حال انجام در شبکه ، به کمک الگوریتم ها و یا الگوهایی که در خود دارند فعالیت های مشکوک را شناسایی کرده و به عنوان نفوذ معرفی می کنند. طبیعی است که امکان دارد بعضی از این فعالیت ها در واقع نفوذ نبوده و صرفا فعالیتی غیرعادی اما بی خطر باشند و سیستم در تشخیص نفوذ دچار اشتباه شده باشد.

ابزار های امنیتی دیجیتال را می توان به گونه ای معادل ابزار های امنیتی فیزیکی دانست. به عنوان مثال اگر اطلاعاتی را که در شبکه ی خود داریم به عنوان اسنادی محرمانه در یک خانه تصور کنیم ، دیوار آتش۲ نقش درهای قفل شده را دارند. در واقع درهای قفل شده نقش بازدارندگی و جلوگیری از نفوذ را دارند ، اما در صورت وقوع نفوذ هشدار دهنده نیستند! اما نقش سیستم های تشخیص نفوذ مثل سیستم های هشدار دهنده ی نصب شده در خانه است که در صورت وقوع نفوذ از وقوع آن جلوگیری نمی کنند اما به سیستم هشدار می دهند که نفوذی در حال انجام است. در واقع این سیستم ها نقش بازدارندگی ندارند!

در واقع یک شبکه ی امن مجموعه ای از سیستم ها است که مکمل یکدیگرند و با کار در کنار یکدیگر یک شبکه را امن می کنند. همان طور که دیدیم جلوگیری از نفوذ به عهده ی دیوار آتش بود اما وظیفه ی هشدار دادن به سیستم را سیستم های تشخیص نفوذ به عهده داشتند. بنابراین وظایف این اعضا مکمل و هماهنگ با یکدیگر است.

به طور کلی سه عملکرد اصلی عبارتند از[۱] :
۱) نظارت و ارزیابی
۲) کشف
۳) واکنش

۱٫۳ لزوم استفاده از سیستم های تشخیص نفوذ

در دنیای امروز، کامپیوتر و شبکه های کامپیوتری متصل به اینترنت نقش عمده ای در ارتباطات و انتقال اطلاعات ایفا می کنند. در این بین افراد سودجو با دسترسی به اطلاعات مهم مراکز خاص یا اطلاعات افراد دیگر و با قصد اعمال نفوذ یا اعمال فشار و یا حتی به هم ریختن نظم سیستم ها، عمل تجاوز به سیستم های کامپیوتری را در پیش گرفته اند Intruder و Cracker ،Hacker کلماتی هستند که امروزه کم و بیش در محافل کامپیوتری مطرح می باشند و اقدام به نفوذ به سیستمهای دیگر کرده و امنیت آن ها را به خطر می اندازد. بنابراین لزوم حفظ امنیت اطلاعاتی و حفظ کارآیی در شبکه های کامپیوتری که با دنیای خارج ارتباط دارند، کاملأ محسوس است[۱].
اما هدف سیستم ها تشخیص نفوذ جلوگیری از آن نیست بلکه تشخیص نفوذ و البته ضعف های سیستم کلی و گزارش آن به مدیر سیستم است. در واقع کار اجزایی مثل دیوار آتش و سیستم تشخیص نفوذ مکمل یکدیگر برای حفظ امنیت و مقابله با نفوذ به یک سیستم است. اما در واقع سیستم های تشخیص نفوذ نخستین خط دفاعی در مقابل نفوذ های احتمالی می باشند[۴] .

سیستم های تشخیص نفوذ برای بسیاری از سازمان ها ،از دفاتر کوچک تا شرکت های چند ملیتی ،ضرورتی هستند .برخی ازفواید این سیستم ها عبارتند از[۲]:
· کارایی بیشتر در تشخیص نفوذ،در مقایسه با سیستم های دستی

· منبع دانش کاملی از حملات

· توانایی رسیدگی به حجم زیادی از اطلاعات

· توانایی هشدار نسبتا بلادرنگ که باعث کاهش خسارت می شود

· دادن پاسخ های خودکار،مانند قطع ارتباط کاربر،غیر فعال سازی حساب کاربر،اعمال مجموعه دستورهای خودکار وغیره

· افزایش میزان بازدارندگی

· توانایی گزارش دهی

 

۱٫۴ روش های تشخیص نفوذ

“روش های تشخیص مورد استفاده در سیستم های تشخیص نفوذ به دو دسته تقسیم می شوند:”
الف- روش تشخیص رفتار غیر عادی
ب- روش تشخیص سوءاستفاده یا تشخیص مبتنی بر امضاء

۱٫۴٫۱ تشخیص رفتار غیر عادی

“برای تشخیص رفتار غیرعادی، باید رفتارهای عادی را شناسایی کرده و الگوها و قواعد خاصی برای آن ها پیدا کرد. رفتارهایی که از این الگوها پیروی می کنند، عادی بوده و رویدادهایی که انحرافی بیش از حد معمول آماری از این الگوها دارند، به عنوان رفتار غیرعادی تشخیص داده می شود.نفوذهای غیرعادی برای تشخیص بسیار سخت هستند، چون هیچگونه الگوی ثابتی برای نظارت وجود ندارد[۳]. یکی از حالات غیر عادی بودن استفاده بیش از حد معمول از یک سیستم است. مثلا اگر شخصی که یک یا دو بار در روز وارد سیستم می شده امروز چندین برابر گذشته وارد سیستم شده است این یک فعالیت غیر عادی است. یا مثلا زمان استفاده از یک سیستم نیز می تواند عاملی برای تشخیص مشکوک بودن فعالیت باشد. مثلا اگر شخصی خارج از ساعت اداری وارد سیستم شود نیز یک فعالیت مشکوک انجام داده که می تواند برای تشخیص نفوذ آن وارد عمل شد.

تکنیک ها و معیارهایی که در تشخیص رفتار غیرعادی به کارمی روند، عبارتند از[۱] :

۱)تشخیص سطح استانه
تعداد ورود و خروج به / از سیستم و یا زمان استفاده از سیستم، از مشخصه های رفتار سیستم و یا استفاده کننده است که می توان با شمارش آن به رفتار غیرعادی سیستم پی برد و آن را ناشی از یک نفوذ دانست. این سطح کاملاً ایستا و اکتشافی است.

۲)معیارهای اماری
در نوع پارامتریک، مشخصات جمع شده براساس یک الگوی خاص در نظر گرفته می شود و در حالت غیر پارامتریک بر اساس مقادیری که به تجربه حاصل شده است مقایسه صورت می گیرد. از IDS های معروف که از اندازه گیری آماری برای تشخیص نفوذ رفتار غیرعادی استفاده می کنند، می توان NIDS را نام برد.

۳)معیارهای قانونگرا
شبیه به معیارهای آماری غیرپارامتریک است، به طوری که داده ی مشاهده شده براساس الگوهای استفاده شده ی مشخصی به طور قابل قبول تعریف می شود. اما با الگوهایی که به عنوان قانون مشخص شده فرق دارد و به صورت شمارشی نیست.

۴)سایر معیارها

۱٫۴٫۲تشخیص مبتنی بر امضا

این روش به این ترتیب است که روش های مختلف نفوذی که از قبل استفاده شده و مقابله با آن ها تجربه شده است به صورت الگوهایی در سیستم قرار داده شده است. سیستم نیز فعالیت های انجام شده را با این الگوها مطابقت می دهد و طبیعی است که در صورت مطابقت یک فعالیت با یکی از این الگوها باید هشدار لازم را بدهد. در این روش ها، معمولاً تشخیص دهنده دارای پایگاه داده ای از امضاء ها یا الگوهای حمله است و سعی می کند با بررسی ترافیک شبکه الگوهای مشابه با آن چه را که در پایگاه داده ی خود نگهداری می کند بیابد.[۳]
طبیعی است که چنین سیستم هایی توان تشخیص نفوذ هایی که با روش های جدید انجام شده و الگوی آن ها در سیستم موجود نیست را ندارند. در واقع این وظیفه ی مدیر سیستم است که با تحقیق و البته تجربه! الگوهای جدید و به روز نفوذ را در سیستم تشخیص نفوذ قرار دهد. در مقابل این سیستم ها در مقابل روش های نفوذی که شناخته شده بوده و الگوی آن ها در سیستم موجود است بسیار کارا هستند.

۱٫۵ انواع معماری سیستم های تشخیص نفوذ [۱]

• سیستم تشخیص نفوذ مبتنی بر میزبان (HIDS)
• سیستم تشخیص نفوذ مبتنی بر شبکه (NIDS)
• سیستم تشخیص نفوذ توزیع شده (DIDS)

 

۲٫کارهای مرتبط

 

۲٫۱ معرفی راه های مختلف تشخیص نفوذ در روش تشخیص رفتار غیرعادی

روش های تشخیص نابهنجاری ،سعی در مدل کردن رفتار عادی سیستم دارد و هر اتفاقی که از این مدل تخلف کند،
در قسمت آزمایش ها در مورد نتایج آزمایش های مربوط به روش های مهم مطرح شده و مقایسه ی بین آن ها توضیحات کامل ارائه خواهد شد.
در واقع این تقسیم بندی ترکیبی از دسته بندی [۲] و روش های دیگر به دست آمده از [۵] و [۶] و [۷] است و در برخی نیز برداشت و توضیح من جایگزین متن اصلی شده است. (با ذکر منبع!)
روش های تشخیص نابهنجاری که در اینجا مورد بحث قرار می گیرد (که در فازهای بعدی امکان اضافه شدن و تکمیل آن ها وجود دارد)،عبارتند از:

· مدل های آماری

· رویکرد سیستم امن

· بازبینی پروتکل

· بررسی فایل ها

· ایجاد لیست سفید

· شبکه های عصبی

· الگوریتم ژنتیک

· ماشین های بردار پشتیبان

· درخت تصمیم

مدل های آماری

مدل های آماری [۲] جزو اولین روش های استفاده شده برای تشخیص نفوذ است.در این روش بررسی می شود که فعالیت در حال بررسی تا چه میزان با فعالیت عادی و معمول یک کاربر مشابهت دارد. در واقع وجود تفاوت زیاد میان این رفتار با رفتار عادی می تواند معیار خوبی برای تشخیص نفوذ باشد. این میزان مشابهت با روش های مختلف آماری رخدادها می تواند بررسی شود که به اختصار در اینجا ذکر می شود :

· اندازه آستانه:این روش مقادیری تنظیم شده و یا ابتکاری،برای روی دادن رخدادها و یا تعداد دفعات روی دادن آنها طی یک دوره زمانی ،نسبت می دهد.بعضی از نمونه های معمول عباتند از ،ورود کاربر و غیر فعال شدن کاربر پس از تعداد مشخصی شکست در ورود[۲] .

· میانه و انحراف معیار: با مقایسه رخدادها با پروفایل میانه و انحراف معیار ،فاصله اطمینانی برای نابهنجاری قابل تخمین است.پروفایل ها ،بر اساس داده های تاریخی و یا مقادیری از پیش تنظیم شده می آیند[۲] . در واقع انتخاب یک پروفایل به عنوان پروفایل عادی و معیار تفاوت فعالیت انجام شده با فعالیت این پروفایل تعیین کننده است.

· مدل های چند متغیره:محاسبه همبستگی بین مقیاس های رخداد های مختلف،با توجه به انتظارات پروفایل[۲]

· مدل فرایند مارکوف :این مدل انواع حملات را به عنوان متغیرهای حالت،در یک ماتریس حالت/گذر در نظر می گیرد.در این سیستم یک رخداد نابهنجار در نظر گرفته می شود،هرگاه احتمال وقوع آن رخداد برای حالت قبلی با مقدار وابسته اش،بسیار کم باشد .

· تحلیل دسته بندی:این روش غیر پارامتری،بر مبنای نمایش جریان رخدادها به صورت برداری عمل می کند،که با استفاده از الگوریتم های دسته بندی در کلاس های مختلفی از رفتارها،گروه بندی می شوند.دسته بندی ها شامل فعالیت های مشابه یا الگوهای کاربر است،به نحوی که رفتار عادی از نابهنجار قابل تمایز است .

رویکرد سیستم امن

اجرای کدها در یک برنامه دارای روندی شناسایی شده و معمول است. در واقع فراخوانی های سیستمی دارای روندی هستند که می توان به کمک آن برنامه ها را برای حالت عادی یا خطا یا نفوذ مدل سازی کرد و به کمک آن رفتارهای نا به هنجار را شناسایی نمود. برای مثال ،رفتار نابهنجار یک فراخوانی سیستمی اجرایی در یک وب سرور ،می تواند نمایانگر حمله سرریز پشته باشد. این روش ،توانایی تشخیص بسیاری از حملات معمول را دارد،ولی از تشخیص حملاتی که برا اساس شرایط مسابقه،تخلف در سیاست ها و یا جعل هویت هستند،عاجز است [۲].

بازبینی پروتکل

بسیاری از شیوه های حمله،بر اساس استفاده غیر معمول یا نابهنجار از فیلدهای پروتکل ها است.روش های بازبینی پروتکل،با دقت فیلدها و رفتار پروتکل را بر اساس استانداردها و انتظارات بررسی می کنند. داده هایی که از این محدوده تخطی کنند،به عنوان داده های مشکوک در نظر گرفته می شوند  .

این رویکرد بسیاری از حملات معمول را شناسایی می کند ، ولی مشکل اساسی آن،رعایت ناچیز استانداردها در پیاده سازی بسیاری از پروتکل ها است.همچنین استفاده از این شیوه برای پروتکل های اختصاصی و یا نا آشنا،می تواند باعث ایجاد هشدارهای اشتباه شود.

بررسی فایل ها

این روش،از مجموع مقابله ای رمز شده داده های حساس سیستمی،برای شناسایی تغییراتی مانند نصب برنامه بصورت غیر مجاز،درهای پشتی به جای مانده از تروژانهای موفق قبلی و تخریب سیستم،استفاده می کنند.(این شیوه در برنامه های ضد ویروس،برای شناسایی تغییر در فایل های اجرایی استفاده می شود)این شیوه در بازیابی سیستم و بررسی های قانونی ،بسیار مفید است.مشکل این روش این است که ،تشخیص بعد از انجام تغییرات صورت می گیرد،همچنین در صورتی که مجموع مقابله ای اصلاح شود و یا فرایند تشخیص به خطر بیفتد،تشخیص انجام نخواهد شد.

ایجاد لیست سفید

این روش مانند یک فیلتر انجام می شود. به طور کلی این روش به این ترتیب است که فعالیت های مختلف از این فیلترهای تعیین شده که هر کدام مجموعه ی خاصی از فعالیت های بی خطر را می شناسند عبور می کنند. به طور طبیعی بعضی از فعالیت ها باقی مانده و نمی توانند از این فیلترها عبور کنند. بنابراین فعالیت های باقیمانده به عنوان فعالیت های جدیدی که البته ممکن است فعالیتی در راستای نفوذ باشند شناسایی می شوند.

 

شبکه عصبی

“شبکه های عصبی  را می توان با اغماض زیاد، مدل های الکترونیکی از ساختار عصبی مغز انسان نامید، مغز به عنوان سیستم پردازش اطلاعات از تعداد زیادی نرون (نرون ساده ترین واحد ساختاری سیستم های عصبی) تشکیل شده است [۵]. در واقع شبیه سازی یک شبکه عصبی مانند مغز انسان این قابلیت را دارد که مانند مغز انسان با گذشت زمان تجربه هایی را به دست آورده و ثبت کند. این تجربه ها به طور طبیعی در تعامل با محیط به دست می آید. در واقع یک سیستم مبتنی بر شبکه عصبی در تعامل با رخدادهای مختلف اعم از نفوذ یا غیر از آن می تواند الگوهایی را به دست آورده و ثبت کند.
با توجه به این توضیحات قطعا پیاده سازی شبکه های عصبی احتیاج به محاسبات بالا دارد که این خود یک نقطه ضعف برای شبکه های عصبی در مقابل سایر روش های تشخیص نفوذ محسوب می شود. ضمن این که همانند مغز انسان این مدل شبکه ها نیز زمانی را برای یادگیری صرف می کنند! طولانی شدن این زمان نیز می تواند یک ضعف در این سیستم ها محسوب شود.

سیستم تشخیص نفوذ بر اساس شبکه های عصبی برای سیستم کامپیوتری ویژه شامل مراحل سه گانه زیر است [۶]:

  1. مجموعه داده های آموزشی : بدست آوردن لاگهایی برای هر کاربر در دوره های زمانی چند روزه برای هر کاربر از طریق یک بردار نشان می دهیم که یک کاربر چه دستوارتی را اجرا می کند.
  2. آموزش : شبکه عصبی را برای شناسایی کاربر بر اساس دستوراتی که در بردار می باشد .
  3. کارایی : شبکه ، کاربر را برای هر دستور جدید شناسایی میکند ،یعنی اینکه اگر کاربری دستور جدیدی که در بردار مربوط به وی وجود ندارد را اجرا کند سیستم قادر به شناسایی آن کاربر خواهد بود .

الگوریتم ژنتیک

در این الگوریتم ۲ فاز کلی وجود دارد. در فاز اول ما آموزش هایی را به سیستم می دهیم و اطلاعاتی را در آن قرار می دهیم تا بتواند با الگو قرار دادن این آموزش ها و داده ها تشخیص نفوذ را انجام دهد. در فاز دوم به کمک این اطلاعات تشخیص نفوذ انجام می شود. در سیستم های تشخیص نفوذی که از الگوریتم ژنتیک برای آموزش استفاده می نمایند، یک سری قوانین اولیه دسته بندی شده در پایگاه داده قرار می دهیم و با بکارگیری الگوریتم ژنتیک ۱۵ قوانین جدیدی تولید شده و به قواعد قبل اضافه می شوند[۷]. در شکل زیر ساختار یک الگوریتم ژنتیک ساده نشان داده شده است.

الگوریتم ژنتیک

الگوریتم های ژنتیک، از تکامل ژنتیکی به عنوان یک الگوی حل مسئله استفاده می کند. راه حل ها طبق یک الگو کد گذاری می شوند که تابع هر راه حل کاندید را ارزیابی می کند که اکثر آن نام دارد و برازندگی می شوند.
تکامل از یک مجموعه کاملا تصادفی از جامعه اولیه شروع می شود و در نسل های بعدی تکرار می شود. این فرآیند تکرار می شود تا این که به آخرین مرحله برسیم. شرایط خاتمه الگوریتم ژنتیک می تواند به صورت زیر باشد :

  • به تعداد ثابتی از نسل ها برسیم.
  • بودجه اختصاص داده شده تمام شود
  • بیشترین درجه برازش فرزندان حاصل شود یا دیگر نتایج
  • بهتری حاصل نشود
  • بازرسی دستی
  • ترکیب های موارد ذکر شده در بالا.

 

ادامه مقاله 

آموزش اتصال روتربرد میکروتیک Mikrotik به اینترنت

آموزش اتصال روتربردهای میکروتیک (Mikrotik) به اینترنت و اتصال کاربران شبکه داخلی به اینترنت .

تنظیمات اولیه دریافت اینترنت توسط میکروتیک

اگر از مودم برای اتصال به اینترنت استفاده می‌کنید، ابتدا لازم است وارد تنظیمات مودم شده و مودم را در حالت Bridge قرار دهیم.

۱-تست Bridge شدن مودم

یک کانکشن PPPOE روی سیستم ایجاد می‌کنیم و با استفاده از نام کاربری و رمز عبوری که از ISP دریافت کرده‌ایم، از اتصال به اینترنت با استفاده از کانکشن PPPOE اطمینان حاصل می‌کنیم، در صورت اتصال به اینترنت، مودم در حالت Bridge قرار گرفته است. حالا می‌توانیم کابل مودم را به یکی از پورت‌های میکروتیک متصل کنیم.

پس از اتصال مودم به میکروتیک، روتر در نقش PPPOE کلاینت قرار می‌گیرد و باید کانکشن PPPOE را روی میکروتیک ایجاد کنیم.

۲-ایجاد کانکشن PPPOE Client

برای ایجاد کانکشن PPPOE Client، از فهرست سمت چپ، PPP را انتخاب می‌کنیم و با کلیک برروی مشخصه +، برروی PPPOE Client کلیک می‌کنیم.

۳-تب General در PPPOE Client

در تب General، اینترفیسی که کابل مودم به آن متصل شده است را انتخاب می‌کنیم.

۴-تب Dial Out در PPPOE Client

در قسمت User و Password، نام کاربری و رمز عبوری که از ISP، دریافت کرده ایم را وارد می‌کنیم.

با استفاده از کلید Apply، می‌توانیم وضعیت اتصال را از قسمت Status، بررسی کنیم. این قسمت در شکل زیر با کادر قرمز رنگ مشخص شده است.

در صورت برقراری اتصال، در قسمت Status، پیغام Connected، نمایش داده می‌شود.

میکروتیک راه اندازی

برای مثال، در شکل زیر، کانکشن PPPOE برقرار شده و در وضعیت Connected است.

آموزش میکروتیک

 

بعد از برقراری کانکشن PPPOE، به صورت خوکار، یک خط آدرس در پنجره Address List اضافه شده و Route پیش فرض آن نیز ایجاد می‌شود که در پنجره Route List، قابل مشاهده می‌باشد. این خط آدرس Dynamic بوده و با هر بار ریبوت شدن میکروتیک تغییر می کند.

نحوه اتصال شبکه داخلی به اینترنت

برای اتصال شبکه داخلی به اینترنت، لازم است برروی Source Address کلاینت‌های شبکه داخلی، یک NAT Rule با اکشن Masquerade تعریف کنیم.

برای تعریف این Rule از مسیر، IP -> Firewall -> NAT و با اسفاده از مشخصه +، این رول را تعریف می‌کنیم. مشخصات این رول به صورت زیر است:

 

mikrotik راه اندازی

در قسمت Chain ،srcnat را انتخاب می‌کنیم. چون می‌خواهیم Source آدرس کلاینت‌های شبکه داخلی که آدرس Invalid است، به آدرس Valid روتر ترجمه شده و درخواست‌های کلاینت‌ها با آدرس Valid روتر به اینترنت ارسال شوند.

در قسمت Src Address، محدوده آدرس‌های داخلی شبکه را مشخص می‌کنیم که فقط برروی این آدرس‌ها پروسه NAT، اعمال شود. در اینجا رنج آدرس‌های شبکه داخلی ۱۹۲٫۱۶۸٫۲٫۰/۲۴ می‌باشد.

در قسمت Out Interface، نام اینترفیس PPPOE که در قسمت PPP و تب Interfaces افزوده شده است و امکان اتصال به اینترنت را فراهم می‌کند را انتخاب می‌کنیم. نام این اینترفیس به صورت پیش فرض pppoe-out1 است. در تب Action نیز اکشن Masquerade را انتخاب می‌کنیم. برای انجام تنظیمات DNS، از قسمت IP ،DNS را انتخاب می‌کنیم و آدرس DNS سرورهای google را وارد می‌کنیم.

اتصال روتربرد میکروتیک به اینترنت

 

توجه: در صورت فعال کردن تیک گزینه Allow Remote Request، روتر به عنوان DNS Server عمل کرده و به تمامی درخواست‌های DNS ای از شبکه داخلی و اینترنت پاسخ می‌دهد. ولی این احتمال وجود دارد که روتر در معرض حملات DNS ای که از سمت اینترنت برروی DNS سرورها انجام می‌شود، قرار گیرد.

در صورتی که بخواهیم در تنظیمات کارت شبکه کلاینت‌ها در قسمت DNS Server، آدرس IP میکروتیک مشخص شده و کلاینت‌ها درخواست‌های DNS ای خود را به میکروتیک ارسال کنند. تیک گزینه Allow Remote Request، را فعال کرده و علاوه بر آدرس DNS سرورهای گوگل، آدرس خود میکروتیک را نیز وارد می‌کنیم. آدرس میکروتیک در اینجا ۱۹۲٫۱۶۸٫۲٫۱ می‌باشد.

اتصال روتربرد میکروتیک به اینترنت

چگونه میکروتیک را به اینترنت متصل کنیم
نتیجه گیری

جهت اتصال کاربران داخل شبکه و مدیریت آنها بهترین راه این است که ابتدا روتر به اینترنت متصل شده و کاربران از طریق آن وارد اینترنت شوند، برای این کار کافی است خود روتر از طریق PPPOE Client به ISP وارد اینترنت شود. سپس با تعریف Rule در NAT فایروال میکروتیک کاربران اصطلاحا اینترنت دار شوند.

آموزش راه اندازی وب پروکسی برروی روتربردهای میکروتیک

قفل کردن مرورگر کروم و حفاظت از داده ها

اگر از یک سامانه کامپیوتری در محیطی عمومی همچون یک اداره یا شرکت استفاده می‌کنید و ممکن است در برخی موارد مجبور شوید کامپیوتر خود را برای دقایقی ترک کنید و از طرفی این امکان وجود ندارد تا سیستم‌عامل را قفل کرده یا برای آن گذرواژه‌ای تعیین کنید، بهترین کاری که می‌توانید انجام دهید قفل گذاشتن روی مرورگر کروم یا فایرفاکس است. با این‌کار همکاران شما بدون اطلاع شما نمی‌توانند مرورگر را باز کرده و سایت‌هایی که از آن‌ها بازدید کرده‌اید را مشاهده کنند. ادامه مطلب …

معرفی ۳ اپلیکیشن برای افزایش امنیت موبایل

برای بیشتر کاربران امروزی، گوشی هوشمند همه اطلاعات شخصی و عمومی آن‌ها را در داخل خود نگه می‌دارد؛ مخاطبین، پیام‌ها، اطلاعات پرداخت، عکس‌های شخصی و مجموعه‌ای از موزیک‌های دست‌چین شده تنها بخشی از اطلاعات ذخیره‌شده در گوشی‌ های هوشمند به شمار می‌روند که ایمن نگه داشتن آن‌ها از اهمیت خاصی برخوردار است. البته اگرچه تمامی توسعه‌دهندگان برای افزایش کاربران و از دست ندادن آن‌ها امنیت را در دستور کار خود قرار می‌دهند، اما تمامی آن‌ها روی این موضوع “تمرکز” نداشته و حتی گاهی مواقع به طور کامل از آن غافل می‌شوند. در ادامه به معرفی ۳ برنامه برای افزایش امنیت موبایل خواهیم پرداخت، بلکه گوشه‌ای از دغدغه کاربران با نصب آن‌ها برطرف شود.

حفاظت از اطلاعات و ایمن‌سازی ارتباطات موضوعی نیست که برای برخی مهم و برای برخی دیگر بی‌اهمیت باشد. هیچ کاربری دوست ندارد تا بقیه افراد به اطلاعات وی دسترسی داشته و از فعالیت‌های مختلف او آگاهی داشته باشند. حریم خصوصی در گوشی های هوشمند امروز اهمیت فوق‌العاده‌ای پیدا کرده و هر کاربری به دنبال نرم افزارهایی برای افزایش امنیت موبایل خود می‌گردد. گفتنی است یکی از مهمترین روش‌های افزایش امنیت موبایل ، نصب آنتی ویروس است که پیشنهاد می‌کنیم حتما این کار را پیش از بقیه اقدامات انجام دهید.

LastPass : مدیریت تمامی رمزهای عبور

در این دوره که هر کاربر در وب‌سایت‌ها، شبکه‌های اجتماعی، نرم افزارهای تحت وب و دیگر سرویس‌دهندگان اینترنتی حساب کاربری دارد، وجود یک نرم افزار مدیریت پسورد قدرتمند و البته ایمن تاثیر فوق‌العاده زیادی بر روی ایمن‌سازی زندگی مجازی و آنلاین آن‌ها خواهد داشت. کاربران همواره برای جلوگیری از فراموشی رمزهای عبور خود، یک پسورد ساده تعیین کرده و بدتر از آن، این پسور را در مکان‌های مختلف مورد استفاده قرار می‌دهند. کاری که مستقیما در جهت عکس فرآیند افزایش امنیت موبایل است. از این پس به راحتی وارد LastPass شده و رمزهای عبور، مشخصات خرید، اطلاعات شخصی حساس و هر اطلاعات مهم دیگری را در آن ذخیره کنید.

از این پس به جای به خاطر سپردن چندین و چند پسورد، تنها رمز عبور خود اپلیکیشن LastPass را حفظ کنید. یکی از امکانات جالب LastPass که شدیدا در افزایش امنیت موبایل تاثیرگذار است، قابلیت ایجاد پسورد اتوماتیک است؛ پسوردهایی که اغلب متشکل از حروف و اعداد بوده و استانداردهای یک رمز عبور ایمن را دارند. علاوه بر امکان استفاده از LastPass در پلتفرم‌های موبایل اندروید و آی او اس، می‌توان آن‌ را در سیستم عامل ویندوز، مک و حتی لینوکس استفاده کرده و به این وسیله همواره پسوردهای خود را به صورت ایمن در تمامی دستگاه‌های مورد استفاده نگهداری کرد. اگر کاربری بخواهد تا سرویس LastPass را میان اعضای خانواده به اشتراک بگذارد، می‌بایست با پرداخت مبلغی طرح پریمیوم آن را تهیه کنید.

Signal : افزایش امنیت موبایل هنگام چت و مکالمه

مروز در فروشگاه‌های عرضه اپلیکیشن‌های اندروید و آی او اس، نرم افزارهای پیام‌رسان زیادی مشاهده می‌شوند که البته تنها برخی از آن‌ها امروز نزد کاربران به محبوبیت رسیده‌اند. درصد قابل توجهی از ارتباطات کاربران امروز به وسیله این دسته از پیام‌رسان‌ها انجام می‌شود، به همین دلیل برای افزایش امنیت موبایل می‌بایست از دسترسی بقیه افراد به اطلاعات درون آن‌ها جلوگیری کنیم. امروز در بحث امنیت در پیام‌رسان‌های تحت موبایل، اپلیکیشن سیگنال حرف اول و آخر را زده و تمامی رقبای خود را کنار زده است. Signal علاوه بر افزایش امنیت موبایل، قابلیت‌های پایه‌ای بهترین پیام‌رسان‌ها از جمله چت گروهی، تماس صوتی، نمایش دریافت پیام در مقصد و بسیاری دیگر از امکانات را نیز دارد.

از همه مهمتر، فرآیند رمزنگاری مبدا به مقصد در اپلیکیشن Signal است که افزایش امنیت موبایل را سبب می‌شود. به این وسیله می‌توان مطمئن بود تنها شخصی که پیام شما را می‌خواند، مخاطب مد نظرتان خواهد بود. به عبارت دیگر، اگر فردی در بین راه به پیام‌های ارسالی دست پیدا کند، به هیچ وجه نمی‌تواند آن‌ها را بخواند. شرکت سازنده برای خاطرجمع کردن کاربران اعلام کرده که نه تنها هکرهای خرابکار در اینترنت، بلکه حتی خود شرکت نیز امکان مشاهده پیام‌ها را ندارد. Signal پیام‌رسانی سبک بوده و رابط کاربری ساده‌ای دارد و برخلاف برخی دیگر از نرم افزارهای مشابه، تنها ارتباط میان کاربران درون خود Signal را فراهم می‌سازد. پس بهتر است زودتر دست به کار شده و دوستان و اطرافیانتان را برای نصب Signal به منظور افزایش امنیت موبایل و پیام‌رسانی قانع کنید.

CCleaner : حذف ایمن فایل‌ها در اندروید

سیستم عامل اندروید با وجود کاربرد و همچنین محبوبیت زیاد، خالی از اشکال نیست. به عنوان یکی از آزاردهنده‌ترین مشکلات اندروید باید به عادت آن در ایجاد فایل‌های بدون استفاده و زائد اشاره کنیم، فایل‌هایی که نه تنها فضای ارزشمند موجود در حافظه گوشی را می‌گیرند، بلکه سرعت و عملکرد گوشی را نیز پایین می‌آورند. CCleaner که بسیاری از کاربران آن را به عنوان یک نرم افزار مفید و کاربردی برای کامپیوتر می‌شناسند، مدتی است که برای دستگاه‌های اندرویدی نیز عرضه شده است. با وجود CCleaner برای پلتفرم اندروید، دیگر هیچ بهانه‌ای برای نگهداری فایل‌های ناخواسته و اپلیکیشن‌های بدون استفاده وجود ندارد. گفتنی است با استفاده از نسخه پریمیوم، امکان زمان‌بندی فرآیند پاکسازی گوشی به برنامه اضافه می‌شود.

در زمینه ایمن‌سازی و افزایش امنیت موبایل ، کاربرد اصلی CCleaner در مرتب‌کردن فایل‌های ذخیره‌شده، تاریخچه مرور وب و همچنین فایل‌های دانلودشده نهفته است، اطلاعاتی که احتمالا کاربران دوست ندارند تا بقیه افراد به آن‌ها دسترسی داشته باشند. اگر تاکنون فایلی اعم از ویدیو و یا عکس در گوشی شما را آزار می‌داد و از طرفی قادر به حذف آن نبودید، CCleaner به شما کمک می‌کند تا به راحتی و برای همیشه از شر آن راحت شوید. فراموش نکنید بعید نیست همواره در میان دیتاهای بدون استفاده ذخیره‌شده در گوشی، چند فایل مخرب نیز وجود داشته باشند.

مزایای استفاده از Splunk در شناسایی و مقابله با تهدیدات پیشرفته

در این مقاله قصد داریم به زوایای شناسایی و مقابله با تهدیدات پیشرفته با Splunk بپردازیم، لذا پیش از آن باید با برخی مفاهیم آشنا شویم که در ادامه به آن پرداخته شده است.

Advanced Threat چیست؟

تهدیدات پیشرفته توسط مهاجمانی صورت می‌گیرد که برای به دست آوردن و یا تغییر اطلاعات، از چندین مسیر حمله استفاده می‌‌نمایند. معمولاً کشف، حذف و شناسایی علت تهدیدات پیشرفته امری مهم و در عین حال دشوار است. انواع تهدیداتِ پیشرفته ممکن است شامل Phishing، آلوده‌سازی وب‌سایت‌ها با بدافزار، حملات Brute Force، مهندسی اجتماعی برای به دست آوردن دسترسی‌های مجاز و حملات هدف‌دار که شامل Exploitهای Zero-Day هستند، باشد. یک تهدید پیشرفته یک یا چند سیستم را در معرض خطر قرار می‌دهد و راه‌های ارتباطی دائمی را برقرار می‌سازد تا فعالیت‌ها به سمتی متمایل گردند که اهداف مهاجمین تحقق یابد.

یک تهدید پیشرفته، رشته‌ای از فعالیت‌ها را انجام می‌دهد تا دسترسی ورودی معتبر را بدست آورد، منابع مورد علاقه را یافته و آن‌ها را به بیرون از سازمان منتقل نماید. یکی از موارد این مدل حمله، Kill Chain می‌باشد.

بررسی حملات Kill Chain در اسپلانک

نحوه انتقال

یک تهدید پیشرفته معمولاً با دانلود بدافزار آغاز می‌گردد و آلودگی‌ها با کلیک بر روی لینک‌های مخرب یا فایل‌های پیوست در ایمیل‌ها و یا مراجعه به وب‌سایت‌های آلوده یا مخرب رخ می‌دهند.

نحوه انجام فرآیند Exploit و نصب بدافزار

بدافزاری که در سیستم دانلود شده ( چه به صورت خودکار یا توسط کاربری که فریب داده شده تا روی یک Dialog Box کلیک کند و یا بدلیل باز کردن پیوست ایمیل، دانلود شده باشد) باید اجرا گردد.

بدافزار‌ها معمولاً مخفی هستند یا در اسناد متداول و فایل‌های وب، مانند اسناد PDF یا فایل تصویری JPG کارگذاری شده‌اند و باز کردن یا دسترسی به این فایل‌ها بدافزار را اجرا می‌نماید. با تکنیک‌های پیشرفته می‌تواند از آسیب‌پذیری‌های شناخته‌شده یا ناشناخته سواستفاده نماید و بدافزار روی سیستم نصب گردد. زمانی که بدافزار اجرا می‌گردد، فعالیت‌های متفاوتی را انجام می‌دهد تا به صورت شناسایی نشده بر روی Endpoint اجرا گردد. برای مثال ممکن است بدافزار با نصب برنامه‌هایی که ظاهری عادی دارند، با خاموش کردن برنامه‌ی امنیتی، خاموش کردنLogging برای بدافزارها و یا با جایگزین کردن فایل‌های سیستم یا برنامه‌های سیستم که به طور عادی اجازه‌ی اجرا شدن در Endpoint را دارند، به کار خود ادامه دهد.

نحوه‌ی کارکرد بدافزار با سرورِ Command & Control

با نرم‌افزارهای مخربی که روی Endpoint نصب شده‌اند، بدافزار با یک سرورِ C&C ارتباط برقرار می‌نماید تا نرم‌افزار‌های بیشتری را دانلود کرده و یا دستورالعمل‌هایی را دریافت نماید. این دستورالعمل‌ها می‌تواند شامل فایل‌ها یا داده‌های خاصی شود که قرار است از سازمان هدف دزدیده شوند. جهت ارتباط بین سرور‌های هدف، C&C معمولاً از پروتکل‌های ارتباطی متداولی که در پروتکل‌های HTTP، FTP و DNS پنهان هستند، استفاده می‌نماید. همچنین ممکن است این ارتباطات با استفاده از SSL روی HTTP، یا با استفاده از پروتکل‌های کنترل Remote مانند RDP رمزگذاری شده صورت پذیرد.

نحوه انجام حملات

مهاجم با جای پایی محکم در کانال‌های سازمانی و ارتباطی برای جهت‌دهی به فعالیت‌ها، تداوم (Persistence) را ایجاد نموده و می‌تواند قدم‌های لازم را برای به انجام رسانیدن مأموریت خود بردارد. در این مرحله فعالیت‌های تهدیدآمیز پیشرفته از حساب‌های کاربری و سیستم‌های موردتایید نشات می‌گیرد که در محیط، معتبر می‌باشند.

شناسایی و مقابله با تهدیدهای پیشرفته

در روند حملات پیشرفته، مهاجمی وجود دارد که می‌خواهد وارد ساختار شبکه شما شده و هدفی بر علیه کسب‌و‌کار شما می‌باشد. این مهاجم دارای انگیزه و منابع کافی است. آن‌ها از چندین مسیر و تکنیک حمله استفاده می‌کنند تا وارد سیستم کاربر شوند، از دسترسی معتبری که سیستم در شبکه‌ی وی دارد سواستفاده کرده، در سیستم‌های او باقی مانده، از سازمان مربوطه دزدی کرده و یا آسیب برسانند. این فعالیت‌های مخرب می‌تواند شامل فعالیت‌های جانبی همچون پیدا کردن و فراگرفتن Endpoint‌ها و سیستم‌های دیگر گردد. مهاجم از Credentialهای معتبر استفاده می‌کند تا به Endpointها، سیستم‌ها و ذخیره‌های منابع دسترسی پیدا کند. اهداف مهاجمین می‌تواند شامل تغییر، مشاهده و دزدیدن اطلاعات و همچنین فروش دسترسی‌هایش به سازمان شما باشد. همچنین مهاجم می‌خواهد دسترسی خود را به سازمان شما حفظ و مخفی نماید.

دسترسی داشتن و تحلیل کردن تمام داده‌ها ممکن است در شناسایی و مقابله با تهدیدات پیشرفته مفید باشد. مانیتورینگ حملات و فعالیت‌های غیرعادی شناخته شده و سپس مرتبط ساختن آن‌ها به یک‌دیگر با استفاده از روش Kill Chain، می‌تواند به شناسایی Hostهای در معرض خطر و تهدیدات پیشرفته‌ای که وارد سازمان کاربر شده‌اند، کمک نماید. این روش روی شناسایی فعالیت‌های پس از Exploit یا آلودگی با فرض بر این که یک مهاجم وارد ساختار شبکه‌ای شده است (فرض بر اینکه کاربر در معرض خطر قرار دارد)، متمرکز می‌باشد. مثال‌های زیر تکنیک‌های لازم برای جستجوی Hostهای در معرض خطر را نشان می‌دهند و می‌توانند نقش مهمی در پاسخ به نقض‌های امنیتی و یافتن بدافزار یا APT بازی کنند.

بلاک چین (زنجیره بلوکی) کلید گمشده دنیای امنیت

بلاک چین (زنجیره بلوکی) کلید گمشده دنیای امنیت

بلاک‌چین یا همان زنجیره بلوکی به شکل بالقوه‌ای قادر است کیفیت و کارایی رمزگذاری و احراز هویت را بهبود بخشد. این حرف به معنای آن است که نه تنها امنیت تجهیزات اینترنت اشیا بهبود پیدا می‌کند. بلکه به سازمان‌ها و وب‌مسترها نیز اجازه می‌دهد از این فناوری در جهت پیشگیری از بروز حملات منع سرویس انکار شده استفاده کنند.

ادامه مطلب …

امنیت تلگرام طلایی

تلگرام طلایی

امنیت تلگرام طلایی

بررسی امنیت و رعایت حریم خصوصی تلگرام طلایی صورت گرفته است. با بررسی‌های اولیه مشخص گردید که ⁧ #تلگرام_طلایی ⁩ با دو دسته سرور در ارتباط است:

‌‏۱. سرورهای رسمی تلگرام
‌‏۲. سرورهای تلگرام طلایی

‌‏همچنین مشخص شد داده‌هایی را بدون اطلاع کاربر ارسال می‌کند.

‌‏پس از بررسی کد جاوای تلگرام طلایی قابلیت‌های متعددی برای سرقت اطلاعات و انجام اعمال ناخواسته کاربر در این نرم‌افزار کشف شد که با چند سرور خاص (مانند ⁦ hotgram.ir ⁩) در ارتباط بود و داده‌هایی حیاتی را به این سرورها ارسال می‌کرد.

برخی از این قابلیت‌ها اطلاعات شخصی کاربر را ارسال می‌کنند و برخی دیگر از طرف کاربر عملیات خاصی را اجرا می‌کنند.
در ادامه به تعدادی از این قابلیت‌ها اشاره می‌شود. موارد ارسال اطلاعات شخصی عبارت است از:

برخی از قابلیت ها

۱. می‌تواند لیست تمام گروه‌ها و ربات‌ها که کاربر در آن‌ها عضو است را به سرورهای خود ارسال کند. در این قابلیت، حریم شخصی نقش می‌شود.

‌‏۲. امکان ارسال لیست تمام کانال‌هایی که کاربر در آن‌ها عضو هست و اینکه آیا کاربر مدیر آن کانال است یا نه؟ در این قابلیت، حریم شخصی نقش می‌شود.

۳. امکان دریافت و ارسال لیست تمام مخاطبین کاربر به همراه نام‌کاربری آن‌ها در تلگرام. با توجه به تلگرام طلایی تنها یک کلاینت هست، چنین عملی را نباید انجام دهد، البته توجیه خاصی برای این عمل نیز وجود دارد.

‌‏۴. امکان ارسال موقعیت مکانی کاربر به سرورهای تلگرام طلایی. استدلال برای این عمل نیز مانند قابلیت قبلی است.

۵.امکان سرقت کد Authentication تلگرام که با استفاده از آن می‌توان به اکانت تلگرام کاربر مد نظر دسترسی کامل پیدا کرد.

۶.ارسال اطلاعات پروکسی سرور ذخیره شده روی کلاینت به سرورهای تلگرام طلایی.

اعمالی که بدون اطلاع کاربر از طرف او انجام می‌دهد:

۱. امکان عضو کردن کاربر در یک کانال خاص به صورت اجباری

۲. امکان رپورت کردن یک کانال خاص توسط کاربران به صورت مخفی

۳. امکان بیرون رفتن و پاک کردن کانال توسط مدیر کانال

۴. امکان بازدید یک URL خاص توسط کاربران به صورت مخفی (می‌تواند برای انجام حملات DDoS یا افزایش آمار بازدید یک سایت استفاده شود)

توسعه‌دهندگان این نرم‌افزار

متاسفانه یا خوشبختانه توسعه‌دهندگان این نرم‌افزار افرادی غیر حرفه‌ای بوده‌اند و اشتباهات امنیتی را مرتکب شده‌اند. به عنوان مثال راه ارتباطی ارسال اطلاعات به سرورها بدون هر نوع رمزنگاری و کدگذاری است.

بنابراین هر کسی می‌تواند با شنود شبکه، به راحتی اطلاعات شخصی‌ای که به سرورهای تلگرام طلایی ارسال می‌شوند را ببیند. این یعنی تلگرام طلایی بستری ناامن را برای کاربران و خود فراهم کرده است.

که هکرهای می‌توانند با حمله به این پروتکل ارتباطی ضعیف، علاوه بر سرقت اطلاعات، اعمال مخربی را از سوی کاربران و تلگرام طلایی انجام دهند.

مقایسه نسخه‌های مختلف

با مقایسه نسخه‌های مختلف تلگرام طلایی متوجه شدیم که سرویس‌های مختلف به تدریج و در نسخه‌های مختلف به تلگرام طلایی اضافه شده‌اند. همچنین در نسخه‌های جدیدتر تلاش‌هایی برای مخفی کردن و مبهم‌سازی کدهای مخرب صورت گرفته بود.

نتیجه:

در انتها می‌توان گفت که با یکی از بزرگترین ابزارهای جاسوسی و یکی از بزرگترین Botnetهای تاریخ ایران مواجه هستیم که غیر حرفه‌ای نوشته شده است. استفاده از تلگرام طلایی به هیچ‌وجه توصیه نمی‌شود.

بهترین آنتی ویروس های رایگان

انتخاب یک آنتی‌ویروس رایگان

شاید انتخاب یک آنتی‌ویروس رایگان کار آسانی به نظر برسد اما اصلاً چنین نیست. بسیاری از آنتی‌ویروس‌های رایگان نه تنها محافظت کامل را به شما ارائه نمی‌کنند، بلکه مشکلات و محدودیت‌های فراوانی نیز دارند.

نکته مهم:

در این لیست فقط آنتی ویروس‌های کاملاً رایگان و بدون محدودیت زمانی قرار گرفته اند. این‌ها بهترین آنتی ویروس‌های کاملاً رایگان هستند که همان کار آنتی ویروس‌های پولی را انجام می‌دهند یا حتی بهتر هستند.
لازم به ذکر است برخی آنتی ویروس های رایگان به ایجاد یک حساب کاربری نیاز دارند که به معنای رایگان نبودن آنها نیست.

  • انتخاب اول : Kaspersky Anti-Virus Free

    هنوز یک سال از عرضه این محصول نمی‌گذرد اما در صدر بهترین‌های دنیا و البته لیست ما قرار می‌گیرد. این نسخه رایگان یک آنتی‌ویروس کاملاً شناخته شده و قدرتمند است که تقریباً هیچ چیز از محصولات پولی کم ندارد و حفاظت نسبتاً کاملی را ارائه می‌کند.از ویژگی‌های Kaspersky Anti-Virus که آن را از دیگر محصولات رایگان متمایز می‌کند می‌توان این موارد را برشمرد:  قدرت تشخیص بسیار بالاتر، حفاظت کامل، رابط کاربری روان، عملکرد بی نقص و بهینه.

  • انتخاب دوم: Avast Free Antivirus

    Avast Free Antivirus کاملاً پتانسیل این را دارد که به عنوان یک آنتی‌ویروس مطمئن برای محافظت از کامپیوتر و فایل‌های خود روی آن حساب کنید.همچنین این آنتی‌ویروس دارای رابط کاربری پارسی است که از بخش تنظیمات می توانید آن را دریافت کنید

  • انتخاب سوم: Avira Free Antivirus 2018.

Avira Free Antivirus 2018 در تشخیص و مسدودسازی بدافزارها عملکرد نزدیک به عالی دارد اما به              اندازه دو محصول قبلی در برابر تهدیدهای تحت وب کارآمد نیست. همچنین قدری اعلان‌های آن آزار              دهنده است.

  • انتخاب چهارم: Bitdefender Antivirus Free Edition  

موتور آنتی‌ویروس کمپانی امنیتی Bitdefender طی سال‌های اخیر همواره جزو بهترین‌های دنیا بوده              است. نه تنها این موتور در تشخیص و مسدودسازی تهدیدها بسیار کارآمد است، بلکه تأثیر آن بر                      سرعت کامپیوتر کاربر نیز کم است.

  • انتخاب پنجم: ZoneAlarm Free Antivirus + Firewall

    ZoneAlarm Free Antivirus + Firewall از رابط کاربری بسیار کلاسیک بهره می برد که می توان گفت به عصر خود تعلق ندارد، با این حال قدرت حفاظتی بسیار خوبی دارد و استفاده از آن نیز آسان است.

 

  • انتخاب ششم: Sophos Home

    استفاده از این محصول بسیار آسان است، با این حال نبود قابلیت‌ها و گزینه‌های پیشرفته یک نقطه ضعف بزرگ برای آن است. لازم به ذکر است تنظیمات Sophos Home تحت وب است و از طریق مرورگر قابل دسترسی است.

 

ضعف امنیتی اینترنت بی‌سیم وای فای

متیو وان هوف – کارشناس امنیت سایبری در دانشگاه KU Leuven بلژیک – به تازگی گزارشی را منتشر کرده است که در آن به تمامی کاربران، سازمان‌ها و شرکت‌ها درباره ضعف امنیتی اینترنت بی‌سیم وای فای هشدار داده است.

وی در ادامه گزارش خود عنوان کرده است که یکی از پروتکل‌های امنیتی موجود در تعداد زیادی از مودم‌های وای فای بوسیله یک بدافزار شکسته و تخریب شده و همین امر هم موجب شده است نگرانی‌ها درباره امنیت اینترنت وای فای و حفاظت اطلاعات شخصی و محرمانه کاربران تشدید شود.

او ضمن اشاره به ضعف امنیتی پروتکل WPA2 اینترنت بی‌سیم وای فای، عنوان کرده است هکرها و مجرمان سایبری با استفاده از این روش مدرن و نوین قادر خواهند بود به اطلاعات و داده‌های شخصی و محرمانه کاربرانی دسترسی پیدا کنند که تصور می‌کردند برای همیشه از آن‌ها محافظت خواهد شد.

این اطلاعات می‌تواند شامل شماره‌های تماس، شماره کارت اعتباری، گذرواژه، تصاویر، ایمیل، پیام‌های متنی و غیره باشد که به احتمال زیاد در دسترس هکرها قرار می‌گیرد.

این ضعف امنیتی و آسیب‌پذیری مذکور این امکان را به هکرها می‌دهد تا برروی تعدادی از سیستم‌های عامل همچون اندروید، لینوکس، ویندوز، iOS، مدیاتک و غیره تاثیرگذاری داشته و به مودم وای فای موجود برروی آن‌ها نفوذ یابند.